Je DNS bij een andere partij, zoals Cloudflare

Module 7: Externe diensten koppelen · Leestijd: 9 minuten

Leerdoel: Na deze les kun je de DNS van je domein naar een externe DNS-partij overzetten, weet je welke records je meeneemt en hoe je omgaat met een proxy.

Kernbegrippen: externe nameservers, zone overnemen, records die mee moeten (A, AAAA, MX, SPF, DKIM, DMARC, subdomeinen, verificaties), proxy (oranje en grijze wolk), certificaat achter een proxy (Full strict), CNAME flattening

Waarom je DNS ergens anders

Je kunt je website bij de ene partij hebben, je e-mail bij een tweede en je DNS bij een derde. Mensen kiezen een aparte DNS-partij bijvoorbeeld omdat ze al hun domeinen op één plek willen, voor extra functies (zoals een proxy die aanvallen tegenhoudt) of omdat hun webbouwer het zo inricht. Cloudflare is daar een bekend voorbeeld van, maar het werkt bij elke externe DNS-partij hetzelfde.

Het principe ken je uit les 2.1: wie de nameservers draait, beheert de DNS. Zet je de nameservers naar een andere partij, dan tellen de records bij je vorige DNS-beheerder niet meer. Ook niet als je webhost of mailprovider daar nog alles netjes heeft staan.

De volgorde: eerst klaarzetten, dan wisselen

1. Maak een overzicht van je huidige zone. Exporteer hem, maak een back-up in je paneel of maak schermafbeeldingen van alle records (les 6.3).
2. Zet alle records klaar bij de nieuwe partij. Veel partijen lezen je bestaande records automatisch in. Dat is handig, maar niet volledig: ze vinden alleen namen die ze kunnen raden. Records als x._domainkey, _dmarc, verificatie-TXT-records op subdomeinen of een autodiscover worden vaak gemist. Vergelijk daarom met je overzicht uit stap 1.
3. Verlaag eventueel vooraf de TTL bij je huidige partij (les 6.3).
4. Wijzig de nameservers bij je registrar naar de nameservers die de nieuwe partij opgeeft.
5. Controleer na de wissel of website, e-mail en certificaat werken, en of de nieuwe partij de nameservers als actief ziet.

Sommige registries, zoals DENIC voor .de, controleren bij een nameserverwijziging of je domein al op de nieuwe nameservers klaarstaat. Staat de zone er nog niet, dan weigeren ze de wijziging. Ook daarom: eerst klaarzetten.

Welke records moeten mee?

Een checklist voor een domein met website en e-mail. Neem de waarden over van je webhost en je mailprovider.

Let op subdomeinen die je in je hostingpaneel hebt gemaakt. Bij de DNS van je webhost kwamen die vaak vanzelf in de zone, of werkten ze via een wildcard (*). Bij een externe partij moet je ze zelf aanmaken, of zelf een wildcard zetten (les 3.3). Maak je later een nieuw subdomein in je hostingpaneel, zet het dan ook bij de DNS-partij.

En de DKIM-sleutel van je webhost: die staat bij je webhost in de zone, bijvoorbeeld als x._domainkey. Kopieer de naam en de hele waarde naar de nieuwe partij. Een veelgemaakte fout is dat de waarde onderweg wordt afgeknipt of dat er spaties in komen.

De proxy: oranje of grijs

Cloudflare en vergelijkbare diensten hebben naast DNS een proxy. Bij Cloudflare zie je dat als een wolkje achter elk A-, AAAA- en CNAME-record:

• Oranje (proxied): de DNS geeft niet het IP-adres van jouw server terug, maar een adres van Cloudflare. Bezoekers gaan eerst naar Cloudflare, en Cloudflare stuurt het door naar jouw server. Dat werkt alleen voor websites (http en https).
• Grijs (DNS only): de DNS geeft gewoon het echte IP-adres. Cloudflare doet dan alleen DNS.

Gevolgen:

• Mail gaat niet door de proxy. Zet het record voor mail en alles wat je mailprogramma of andere mailservers gebruiken op grijs. Staat mail op oranje, dan wijst je MX naar een adres van Cloudflare dat geen mail aanneemt.
• Ook FTP, SSH en andere niet-webverkeer gaat niet door de proxy. Gebruik daarvoor een naam met een grijze wolk, of de servernaam van je webhost.
• Certificaten. Met oranje ziet een certificaatuitgever zoals Let's Encrypt jouw server niet rechtstreeks. Het automatisch aanvragen van een certificaat bij je webhost kan dan mislukken. Zet de proxy tijdelijk op grijs tot je webhost het certificaat heeft, of gebruik een methode die via DNS werkt.
• SSL-stand. Zet bij Cloudflare de SSL-stand op Full (strict) als je server een geldig certificaat heeft. In de stand "Flexible" is het verkeer tussen Cloudflare en jouw server niet versleuteld, en die stand veroorzaakt bovendien vaak een eindeloze doorstuurlus bij websites die zelf al naar https sturen.

CNAME op de kale domeinnaam?

Een gewone CNAME op @ kan niet (les 3.2). Sommige DNS-partijen bieden er een oplossing voor, onder namen als CNAME flattening, ALIAS of ANAME. Je vult dan een naam in voor @, en de DNS-partij zoekt zelf het bijbehorende IP-adres op en geeft dat terug als A- of AAAA-record. Voor de buitenwereld staat er dus gewoon een A-record.

Handig als een platform je alleen een naam geeft. Maar het is geen standaard-DNS: verhuis je naar een partij die het niet kent, dan moet je weer een A-record met een IP-adres maken.

Problemen herkennen

• "Ik heb een record gewijzigd en er gebeurt niets." Kijk welke nameservers je domein gebruikt (les 8.2). Staan ze bij de externe partij, wijzig het record dan daar.
• Website werkt, mail niet. Ontbreekt MX, ontbreekt het A-record voor mail, of staat mail op oranje?
• Mail komt aan, maar vaker in de spam. DKIM-record vergeten of afgeknipt, of SPF niet overgenomen.
• Certificaatfout of doorstuurlus. Proxy aan met SSL-stand Flexible, of je webhost kon geen certificaat aanvragen.

In de praktijk: zo ziet het eruit in een paneel

In het voorbeeldpaneel Mijn WebOké zie je op het tabblad DNS bovenaan welke nameservers je domein gebruikt. Staan daar externe nameservers, dan hebben wijzigingen in Mijn WebOké of DirectAdmin geen effect. De waarden die je bij de externe partij nodig hebt (IP-adres, servernaam voor de MX, DKIM-sleutel bij x._domainkey) lees je af in DNS Beheer van DirectAdmin of in de welkomstmail van je pakket. De nameservers wijzig je op de domeinpagina bij de kaart Nameservers.

In andere panelen, zoals cPanel, Plesk of het DNS-scherm van je registrar, zie je dezelfde records. Bij de externe partij heten de knoppen anders, maar je vult dezelfde velden in: naam, type, waarde, TTL, en bij Cloudflare de proxy-stand.

Samenvatting

• Wie de nameservers draait, beheert de DNS. Records bij je vorige partij tellen niet meer.
• Zet eerst alle records klaar bij de nieuwe partij en vergelijk met een overzicht van je oude zone; wissel daarna de nameservers.
• Vergeet niet: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, verificaties en subdomeinen.
• Mail en ander niet-webverkeer gaan niet door een proxy: zet die records op "DNS only" (grijs).
• Gebruik bij een proxy de SSL-stand Full (strict). CNAME flattening werkt alleen bij partijen die het aanbieden.

Quiz

Opdracht

Z7.5 (opzoeken).

1. Zoek de nameservers van cloudflare.com. Op welk domein eindigen ze?
2. Zoek de A-records van cloudflare.com. Kloppen de adressen met de bedoeling van een proxy (adressen van Cloudflare zelf)? Schrijf één A-record over.
3. Kies een domein dat je kent (je eigen domein mag). Zoek de nameservers en schrijf op bij welke partij de DNS beheerd wordt. Vul de domeinnaam en de nameservers in.

De controle vraagt de records live op bij het inleveren.

Verder lezen

Deze pagina's beschrijven de stappen in de panelen van WebOké (DirectAdmin en Mijn WebOké). In andere panelen werkt het op dezelfde manier.

• Eigen of externe nameservers (zoals Cloudflare) gebruiken voor je domein
• DKIM instellen als de DNS bij een andere partij staat
• DirectAdmin handleiding 5.12: DNS in Mijn WebOké en bij externe nameservers zoals Cloudflare
• WebOké handleiding 5.3: Nameservers wijzigen
• DirectAdmin handleiding 6.6: Let's Encrypt lukt niet: oorzaken en oplossingen